Snort 检测现有文件的文件访问

Question

我已经有了访问特定格式 (pcre) 文件的工作规则。问题是，该规则也会触发与模式匹配但不存在的文件。现在规则应该只触发，如果文件存在。我有一个想法通过检查服务器响应来解决这个问题（如果 404 -> 文件不存在），但我没有找到解决方法。有谁知道如何做到这一点或知道如何使用 snort 检查服务器上是否确实存在文件？

Answer 1

如果找到解决方案：可以使用 flowbits 在多个规则之间建立依赖关系。